Qual seria o método recomendado para permitir que apenas a aplicação Ionic pudesse mandar requisições para a API externa que a alimenta?
Imagine um APP de compras que um POST para /compras/compra cria uma nova compra e um PUT atualiza aquela compra liberando a mesma para entrega. Como garantir que apenas o APP possa realizar esta alteração, já que o mesmo pode ser acessado por diversos outros Ips externos, etc. Como impedir que o app seja depurado, as rotas da API externas descobertas e que qualquer usuário malicioso consiga fazer essas requisições?
Access-Control-Allow-Origin não iria funcionar, afinal o mesmo opera apenas em contexto de páginas.
Talvez alguma lógica com chaves que alterem-se igualmente tanto no APP quanto na API poderia resolver, já que mesmo que a lógica fosse interceptada o usuário malicioso não teria acesso por muito tempo.
Alguma ideia?
